Configurer les paramètres de l’authentification multifacteur Microsoft Entra

Pour personnaliser l’expérience utilisateur final pour l’authentification multifacteur Microsoft Entra (MFA), vous pouvez configurer des options pour signaler des activités suspectes. Le tableau suivant décrit les paramètres MFA de Microsoft Entra et les sous-sections abordent chaque paramètre plus en détail.

Remarque

Signaler une activité suspecte remplace les fonctionnalités héritées de blocage/déblocage d’utilisateurs, d’alertes de fraude et de notifications. Le 1er mars 2025, les fonctionnalités héritées ont été supprimées.

Fonctionnalité	Descriptif
Signaler une activité suspecte	Configurez les paramètres qui permettent aux utilisateurs de signaler les demandes de vérification frauduleuses.
Jetons OATH	Utilisé dans les environnements Microsoft Entra MFA basés sur le cloud pour gérer les jetons OATH pour les utilisateurs.
Paramètres de l’appel téléphonique	Configurez les paramètres liés aux appels téléphoniques et aux messages d’accueil pour les environnements cloud et locaux.
Fournisseurs	Cette opération montre tous les fournisseurs d’authentification existants que vous avez associés à votre compte. L’ajout de nouveaux fournisseurs est désactivé depuis le 1er septembre 2018.

Signaler une activité suspecte

Lorsqu’une invite MFA inconnue et suspecte est reçue, les utilisateurs peuvent signaler l’activité à l’aide de Microsoft Authenticator ou via leur téléphone. Signaler une activité suspecte est intégré à Microsoft Entra ID Protection pour la gestion des risques, le reporting, et l’administration à privilèges les plus bas.

Les utilisateurs qui signalent une invite MFA comme suspecte sont définis sur Risque utilisateur élevé. Les administrateurs peuvent utiliser des stratégies basées sur les risques pour limiter l’accès de ces utilisateurs, ou activer la réinitialisation de mot de passe en libre-service (SSPR) pour que les utilisateurs corrigent eux-mêmes les problèmes.

Si vous n’avez pas de licence Microsoft Entra ID P2 pour les stratégies basées sur les risques, vous pouvez utiliser des événements de détection des risques pour identifier et désactiver manuellement les utilisateurs affectés, ou configurer l’automatisation à l’aide de flux de travail personnalisés avec Microsoft Graph. Pour plus d’informations sur l’examen et la correction des risques utilisateur, consultez :

• Comment : examiner les risques
• Comment : corriger les risques et débloquer les utilisateurs

Pour activer la fonctionnalité Signaler une activité suspecte à partir des paramètres de la stratégie des méthodes d’authentification :

1. Connectez-vous au Centre d'administration Microsoft Entra au moins en tant qu’Administrateur de stratégie d’authentification.
2. Accédez à Entra ID>méthodes d'authentification>paramètres.
3. Définissez Signaler une activité suspecte sur Activé. La fonctionnalité reste désactivée si vous choisissez Managé par Microsoft. Pour plus d’informations sur les valeurs managées par Microsoft, consultez Protection des méthodes d’authentification dans Microsoft Entra ID.
4. Sélectionnez Tous les utilisateurs ou un groupe spécifique.
5. Si vous chargez également des messages d’accueil personnalisés pour votre locataire, sélectionnez un Code de création de rapports. Le code de création de rapports est le numéro que les utilisateurs entrent dans leur téléphone pour signaler des activités suspectes. Le code de création de rapports s’applique uniquement si les messages d’accueil personnalisés sont également chargés par un administrateur de stratégie d’authentification. Sinon, le code par défaut est 0, quelle que soit la valeur spécifiée dans la stratégie.
6. Cliquez sur Enregistrer.

Corriger les risques pour les locataires avec une licence Microsoft Entra ID P1

Lorsqu’un utilisateur signale une invite MFA comme suspecte, l’événement s’affiche dans les journaux de connexion (en tant que connexion rejetée par l’utilisateur), dans les journaux d’audit et dans le rapport des détections de risques.

État	Centre d’administration	Détails
Rapport sur les détections de risques	Protection> des IDTableau de bord>Détection des risques	Type de détection : un utilisateur a signalé une activité suspecte Niveau de risque : élevé Source : signalé par l’utilisateur final
Historique de connexions	ID Entra>Surveillance et intégrité>Journaux de connexion>Détails de l’authentification	Les détails du résultat s'afficheront comme authentification multifacteur refusée
Journaux d’audit	ID Entra>Surveillance et intégrité>Journaux d’audit	L’activité suspecte apparaît sous type d’activité

Remarque

Un utilisateur n’est pas signalé comme étant à risque élevé s’il effectue une authentification sans mot de passe.

Vous pouvez également rechercher des détections de risques et des utilisateurs marqués comme étant à risque à l’aide de Microsoft Graph.

API (Interface de Programmation d'Applications)	Détail
type de ressource riskDetection	riskEventType : userReportedSuspiciousActivity
Répertorier Utilisateurs à risque	riskLevel = élevé

Pour une correction manuelle, les administrateurs ou le support technique peuvent demander aux utilisateurs de réinitialiser leur mot de passe à l’aide de la réinitialisation de mot de passe en libre-service (SSPR) ou effectuer cette procédure pour eux. Pour une correction automatisée, utilisez les API Microsoft Graph ou PowerShell pour créer un script qui modifie le mot de passe de l’utilisateur, force la SSPR, révoque les sessions de connexion ou désactive temporairement le compte d’utilisateur.

Corriger les risques pour les locataires avec une licence Microsoft Entra ID P2

Les locataires disposant d’une licence Microsoft Entra ID P2 peuvent utiliser des stratégies d’accès conditionnel basées sur les risques pour corriger automatiquement les risques utilisateur, en plus des options de la licence Microsoft Entra ID P2.

Configurez une stratégie qui examine les risques utilisateur dans Conditions>Risque utilisateur. Recherchez les utilisateurs avec un risque = élevé pour les empêcher de se connecter ou exiger qu’ils réinitialisent leur mot de passe.

Pour plus d’informations, consultez Stratégie d’accès conditionnel basée sur les risques pour la connexion.

Jetons OATH

Microsoft Entra ID prend en charge l’utilisation de jetons OATH-TOTP SHA-1 qui actualisent les codes toutes les 30 ou 60 secondes. Vous pouvez acheter ces jetons auprès du fournisseur de votre choix.

Les jetons matériels OATH TOTP sont généralement fournis avec une clé secrète, ou valeur initiale, préprogrammée dans le jeton. Vous devez entrer ces clés dans Microsoft Entra ID comme décrit dans les étapes suivantes. Les clés secrètes sont limitées à 128 caractères. Cette limite peut ne pas être compatible avec tous les jetons. La clé secrète peut contenir uniquement les caractères a-z ou A-Z et les chiffres 1-7. Elle doit être encodée en Base32.

Vous pouvez également configurer des jetons matériels OATH TOTP programmables qui peuvent être réamorcés avec Microsoft Entra ID dans le processus d’installation des jetons logiciels.

Les jetons matériels OATH sont pris en charge dans le cadre d’une préversion publique. Pour plus d’informations sur les préversions, consultez Conditions d’utilisation supplémentaires pour les préversions de Microsoft Azure.

Après avoir acquis des jetons, vous devez les charger dans un format de fichier de valeurs séparées par des virgules (CSV). Incluez l’UPN, le numéro de série, la clé secrète, l’intervalle de temps, le fabricant et le modèle, comme dans cet exemple :

upn,serial number,secret key,time interval,manufacturer,model
Helga@contoso.com,1234567,1234567abcdef1234567abcdef,60,Contoso,HardwareKey

Remarque

Veillez à inclure la ligne d’en-tête dans votre fichier CSV.

1. Connectez-vous au Centre d’administration Microsoft Entra en tant qu’Administrateur général.
2. Accédez à Entra ID>l’authentification multifacteur>, aux jetons OATH et chargez le fichier CSV.

L’opération peut durer plusieurs minutes selon la taille du fichier CSV. Sélectionnez Actualiser pour afficher l’état. Si le fichier contient des erreurs, vous pouvez télécharger un fichier CSV qui les répertorie. Les noms de champs dans le fichier CSV téléchargé sont différents de ceux de la version chargée.

Une fois que les erreurs éventuelles ont été résolues, l’administrateur peut activer chaque clé en sélectionnant Activer pour le jeton et en entrant le mot de passe OTP affiché sur le jeton.

Les utilisateurs peuvent combiner jusqu’à cinq jetons matériels OATH ou applications d’authentification, comme l’application Microsoft Authenticator, configurées pour une utilisation à tout moment.

Important

Veillez à n'attribuer chaque jeton qu'à un seul utilisateur. À l’avenir, la prise en charge de l’attribution d’un seul jeton à plusieurs utilisateurs s’arrêtera pour éviter un risque de sécurité.

Paramètres de l’appel téléphonique

Si les utilisateurs reçoivent des appels téléphoniques pour les invites MFA, vous pouvez configurer leur expérience, comme l’ID d’appelant ou le message d’accueil vocal qu’ils entendent.

Aux États-Unis, si vous n’avez pas configuré l’ID de l’appelant de l’authentification multifacteur (MFA), les appels vocaux de Microsoft proviennent des numéros ci-dessous. Les utilisations avec des filtres anti-spam doivent exclure ces numéros.

Nombres par défaut : +1 (855) 330-8653, +1 (855) 336-2194, +1 (855) 341-5605

Le tableau suivant répertorie d’autres numéros pour différents pays/régions.

Pays/région	Numéro(s)
Autriche	+43 6703062076
Bangladesh	+880 9604606026
Chine	+44 1235619418, +44 1235619536, +44 1235619537, +44 1235619538, +44 1235619539, +44 1235619535, +44 7897087681, +44 7897087690, +44 7897087692, +66 977832930, +86 1052026902, +86 1052026905, +86 1052026907
Croatie	+385 15507766
Équateur	+593 964256042
Estonie	+372 6712726
France	+33 744081468
Ghana	+233 308250245
Grèce	+30 2119902739
Guatemala	+502 23055056
Hong Kong (R.A.S.)	+852 25716964
Inde	+91 3371568300, +91 1205089400, +91 4471566601, +91 2271897557, +91 1203524400, +91 3335105700, +91 2235544120, +91 4435279600
Jordanie	+962 797639442
Kenya	+254 709605276
Pays-Bas	+31 202490048
Nigéria	+234 7080627886
Pakistan	+92 4232618686, +44 7897087681, +44 7897087690, +44 7897087692, +66 977832930
Pologne	+48 699740036
Arabie saoudite	+966 115122726
Afrique du Sud	+27 872405062
Espagne	+34 913305144
Sri Lanka	+94 117750440
Suède	+46 701924176
Taïwan	+886 277515260, +886 255686508
Türkiye	+90 8505404893
Ukraine	+380 443332393
Émirats Arabes Unis	+971 44015046
Viêt Nam	+84 2039990161

Remarque

Lorsque des appels d’authentification multifacteur Microsoft Entra sont passés sur le réseau téléphonique public, ils sont parfois acheminés par le biais d’un opérateur qui ne prend pas en charge les ID d’appelant. C’est la raison pour laquelle les ID d’appelant ne sont pas garantis, même si l’authentification multifacteur Microsoft Entra les envoie toujours. Cela s’applique à la fois aux appels téléphoniques et aux SMS fournis par l’authentification multifacteur Microsoft Entra. Si vous devez confirmer qu'un SMS provient d’une authentification multifacteur Microsoft Entra, consultez Quels sont les codes courts utilisés pour envoyer des SMS ?.

Pour configurer votre propre numéro d’ID d’appelant, effectuez les étapes suivantes :

1. Rendez-vous dans Entra ID>l’authentification multifacteur>les paramètres d’appel téléphonique.
2. Définissez le Numéro d’ID de l’appelant MFA sur le numéro qui doit s’afficher sur le téléphone des utilisateurs. Seuls les numéros basés aux États-Unis sont autorisés.
3. Cliquez sur Enregistrer.

Remarque

Lorsque des appels d’authentification multifacteur Microsoft Entra sont passés sur le réseau téléphonique public, ils sont parfois acheminés par le biais d’un opérateur qui ne prend pas en charge les ID d’appelant. C’est la raison pour laquelle les ID d’appelant ne sont pas garantis, même si l’authentification multifacteur Microsoft Entra les envoie toujours. Cela s’applique à la fois aux appels téléphoniques et aux SMS fournis par l’authentification multifacteur Microsoft Entra. Si vous devez confirmer qu'un SMS provient d’une authentification multifacteur Microsoft Entra, consultez Quels sont les codes courts utilisés pour envoyer des SMS ?.

Messages vocaux personnalisés

Vous pouvez utiliser vos propres enregistrements ou messages d’accueil pour l’authentification multifacteur Microsoft Entra. Ces messages peuvent servir à compléter ou à remplacer les enregistrements Microsoft par défaut.

Avant de commencer, tenez compte des restrictions suivantes :

• Les formats de fichiers pris en charge sont .wav et .mp3.
• La taille limite des fichiers est de 1 Mo.
• Les messages d’authentification doivent durer moins de 20 secondes. Les messages de plus de 20 secondes peuvent faire échouer la vérification. Si l’utilisateur ne répond pas avant la fin du message, la vérification expire.

Comportement lié à la langue du message personnalisé

Quand un message vocal personnalisé est lu à l’utilisateur, la langue du message dépend des facteurs suivants :

• Langue de l’utilisateur.
  • La langue détectée par le navigateur de l’utilisateur.
  • D’autres scénarios d’authentification peuvent se comporter différemment.
• La langue des messages personnalisés disponibles.
  • Cette langue est choisie par l’administrateur quand un message personnalisé est ajouté.

Par exemple, s’il n’existe qu’un seul message personnalisé et qu’il est en allemand :

• Un utilisateur qui s’authentifie en allemand entend le message allemand personnalisé.
• Un utilisateur qui s’authentifie en anglais entend le message anglais standard.

Valeurs par défaut des messages vocaux personnalisés

Vous pouvez utiliser les exemples de scripts ci-dessous pour créer vos propres messages personnalisés. Ces expressions sont utilisées par défaut si vous ne configurez pas vos propres messages personnalisés.

Nom du message	Scénario
Message d'extension OTP	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour continuer.
Message d’accueil de fraude otP	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour continuer. Si vous n’essayez pas de vous connecter, appuyez sur 0 et #.
Confirmation de fraude par OTP	Si ce n'était pas vous qui tentiez de vous connecter, protégez votre compte en informant votre équipe informatique en appuyant sur 1.
Fraude au mot de passe à usage unique confirmée	Nous avons averti votre équipe informatique, aucune autre action n’est nécessaire. Pour obtenir de l’aide, contactez l’équipe informatique de votre entreprise. Au revoir.
OtP au revoir	Au revoir.
Message d’accueil OTP	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour continuer.
Code de vérification du dernier OTP	Là encore, votre code est
Salutation	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour terminer la connexion.
Message de salutation pour fraude	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour terminer la connexion. Si vous n’essayez pas de vous connecter, appuyez sur 0 et #.
Fraude confirmée	Si ce n'était pas vous qui tentiez de vous connecter, protégez votre compte en informant votre équipe informatique en appuyant sur 1.
Fraude confirmée	Nous avons averti votre équipe informatique, aucune autre action n’est nécessaire. Pour obtenir de l’aide, contactez l’équipe informatique de votre entreprise. Au revoir.
Invite à entrer une extension	Il s’agit de Microsoft. Si vous essayez de vous connecter, appuyez sur la touche # pour continuer.
Authentification réussie	Votre connexion a réussi.
Échec de l’authentification	Je suis désolé que nous ne puissions pas vous connecter à ce moment-là. Veuillez réessayer plus tard.

Configurer un message personnalisé

Pour utiliser vos propres messages personnalisés, effectuez les étapes suivantes :

1. Rendez-vous dans Entra ID>l’authentification multifacteur>les paramètres d’appel téléphonique.
2. Sélectionnez Ajouter un message d’accueil.
3. Choisissez un type de message d’accueil, par exemple Message d’accueil (standard) ou Authentification réussie.
4. Sélectionnez la langue. Consultez la section précédente sur le comportement lié à la langue du message personnalisé.
5. Recherchez et sélectionnez un fichier audio .mp3 ou .wav à charger.
6. Sélectionnez Ajouter puis Enregistrer.

Paramètres du service MFA

Les paramètres pour les mots de passe d’application, les adresses IP approuvées, les options de vérification et la mémorisation de l’authentification multifacteur sur les appareils approuvés sont disponibles dans les paramètres de service. Il s’agit d’un portail hérité.

Vous pouvez accéder aux paramètres du service à partir du Centre d’administration Microsoft Entra en accédant à Entra ID>Authentification multifactorielle>Prise en main>Configurer>Paramètres MFA supplémentaires basés sur le cloud. Une fenêtre ou un onglet s’ouvre avec des options supplémentaires pour les paramètres de service.

Adresses IP approuvées

Les conditions d’emplacement constituent la méthode recommandée pour configurer l’authentification multifacteur (MFA) avec l’accès conditionnel en raison de la prise en charge IPv6 et d’autres améliorations. Si vous souhaitez en savoir plus sur les conditions d’emplacement, veuillez consulter la rubrique Utilisation de la condition d’emplacement dans une stratégie d’accès conditionnel. Si vous souhaitez en savoir plus sur la procédure de définition d’emplacements et de création d’une stratégie d’accès conditionnel, veuillez consulter la rubrique Accès conditionnel : bloquer l’accès par emplacement.

La fonctionnalité Adresses IP approuvées de l’authentification multifacteur Microsoft Entra contourne également les invites d’authentification multifacteur (MFA) pour les utilisateurs qui se connectent depuis une plage d’adresses IP définie. Vous pouvez définir des plages d’adresses IP approuvées pour vos environnements locaux. Quand les utilisateurs se trouvent à l’un de ces emplacements, ils ne reçoivent aucune invite d’authentification multifacteur Microsoft Entra. La fonctionnalité Adresses IP approuvées nécessite l’édition Microsoft Entra ID P1.

Remarque

Les adresses IP approuvées peuvent inclure des plages d’adresses IP privées uniquement si vous utilisez le serveur MFA. Pour l’authentification multifacteur Microsoft Entra basée sur le cloud, vous pouvez uniquement utiliser des plages d’adresses IP publiques.

Les plages IPv6 sont prises en charge dans les emplacements nommés.

Si votre organisation utilise l’extension de serveur NPS pour fournir l’authentification multifacteur (MFA) aux applications locales, l’adresse IP source apparaît toujours comme étant le serveur NPS utilisé pour la tentative d’authentification.

Type de locataire Microsoft Entra	Options de la fonctionnalité Adresses IP approuvées
Gérée	Plage d’adresses IP spécifiques : Les administrateurs spécifient une plage d’adresses IP pouvant contourner les authentifications multifacteurs pour les utilisateurs qui se connectent à partir de l’intranet de l’entreprise. Un maximum de 50 plages d’adresses IP approuvées peuvent être configurées.
Adresses IP fédérées	Tous les utilisateurs fédérés : Tous les utilisateurs fédérés qui se connectent au sein de l’organisation peuvent contourner les authentifications multifacteurs. Les utilisateurs contournent les vérifications à l’aide d’une revendication émise par les services de fédération Active Directory (AD FS). Plage d’adresses IP spécifiques : Les administrateurs spécifient une plage d’adresses IP pouvant contourner l’authentification multifacteur pour les utilisateurs qui se connectent à partir de l’intranet de l’entreprise.

Le contournement de la vérification des adresses IP approuvées fonctionne uniquement au sein de l’intranet de l’entreprise. Si vous sélectionnez l’option Tous les utilisateurs fédérés et qu’un utilisateur se connecte en dehors de l’intranet de l’entreprise, celui-ci doit utiliser l’authentification multifacteur. Le processus est le même, même si l’utilisateur présente une revendication AD FS.

Remarque

Si des stratégies d’accès conditionnel et d’authentification multifacteur (MFA) par utilisateur sont configurées dans le tenant, vous devez ajouter des adresses IP approuvées à la stratégie d’accès conditionnel, puis mettre à jour les paramètres du service d’authentification multifacteur.

Expérience utilisateur au sein du réseau d’entreprise

Quand la fonctionnalité Adresses IP approuvées est désactivée, l’authentification multifacteur est obligatoire pour les flux de navigateur. Les mots de passe d’application sont requis pour les anciennes applications client riche.

Avec des adresses IP approuvées, l’authentification multifacteur n’est pas obligatoire pour les flux de navigateur. Les mots de passe d’application ne sont pas obligatoires pour les anciennes applications client riche si l’utilisateur n’a pas créé de mot de passe d’application. Si un mot de passe d’application est utilisé, il est obligatoire.

Expérience utilisateur en dehors du réseau d’entreprise

Avec ou sans adresses IP approuvées, l’authentification multifacteur est obligatoire pour les flux de navigateur. Les mots de passe d’application sont requis pour les anciennes applications client riche.

Activer les emplacements nommés à l’aide de l’accès conditionnel

Vous pouvez utiliser les règles d’accès conditionnel pour définir des emplacements nommés en procédant comme suit :

1. Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’administrateur d’accès conditionnel.
2. Accédez à Entra ID>Accès conditionnel>Emplacements nommés.
3. Sélectionnez Nouvel emplacement.
4. Entrez le nom de l’emplacement.
5. Sélectionnez Marquer comme emplacement approuvé.
6. Entrez la plage d’adresses IP pour votre environnement en notation CIDR. Par exemple 40.77.182.32/27.
7. Sélectionnez Créer.

Activer la fonctionnalité Adresses IP approuvées à l’aide de l’accès conditionnel

Pour activer les adresses IP approuvées à l’aide de stratégies d’accès conditionnel, procédez comme suit :

1. Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’administrateur d’accès conditionnel.

2. Accédez à Entra ID>Accès conditionnel>Emplacements nommés.

3. Sélectionnez Configurer des adresses IP approuvées pour l’authentification multifacteur.

4. Dans la page Paramètres de service, sous Adresses IP approuvées, choisissez l’une de ces options :

   • Pour les requêtes issues d’utilisateurs fédérés provenant de mon intranet : pour choisir cette option, cochez la case. Tous les utilisateurs fédérés qui se connectent à partir du réseau d’entreprise contournent les authentifications multifacteurs en utilisant une revendication émise par AD FS. Vérifiez qu’AD FS possède une règle pour ajouter la revendication de l’intranet au trafic approprié. Si la règle n’existe pas, créez la règle suivante dans AD FS :

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

     Remarque

     L’option Ignorer l’authentification multifacteur pour les demandes des utilisateurs fédérés sur mon intranet affecte l’évaluation de l’accès conditionnel pour les emplacements. Toute requête avec la revendication insidecorporatenetwork serait traitée comme provenant d’un emplacement approuvé si cette option est sélectionnée.

   • Pour les requêtes provenant d’une plage spécifique d’adresses IP : pour choisir cette option, saisissez les adresses IP dans la zone de texte en notation CIDR.

     • Pour les adresses IP qui se trouvent entre xxx.xxx.xxx.1 et xxx.xxx.xxx.254, utilisez la notation xxx.xxx.xxx.0/24.
     • Pour une adresse IP unique, utilisez une notation de type xxx.xxx.xxx.xxx/32.
     • Vous pouvez saisir jusqu’à 50 plages d’adresses IP. Les utilisateurs qui se connectent à partir de ces adresses IP contournent les authentifications multifacteurs.

5. Cliquez sur Enregistrer.

Activer la fonctionnalité Adresses IP approuvées à l’aide des paramètres de service

Si vous ne souhaitez pas utiliser de stratégies d’accès conditionnel pour activer les adresses IP approuvées, vous pouvez configurer les paramètres de service pour l’authentification multifacteur Microsoft Entra en suivant ces étapes :

1. Connectez-vous au Centre d'administration Microsoft Entra au moins en tant qu’Administrateur de stratégie d’authentification.

2. Accédez à Entra ID>l'authentification multifacteur>paramètres MFA supplémentaires basés sur le cloud.

3. Sur la page Paramètres du service, sous Adresses IP approuvées, choisissez l'une ou les deux options suivantes :

   • Pour les requêtes issues d’utilisateurs fédérés sur mon intranet : pour choisir cette option, cochez la case. Tous les utilisateurs fédérés qui se connectent à partir du réseau d’entreprise contournent l’authentification multifacteur en utilisant une revendication émise par AD FS. Vérifiez qu’AD FS possède une règle pour ajouter la revendication de l’intranet au trafic approprié. Si la règle n’existe pas, créez la règle suivante dans AD FS :

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

   • Pour les requêtes provenant d’une plage d’adresses IP spécifique : pour choisir cette option, entrez les adresses IP dans la zone de texte en notation CIDR.

     • Pour les adresses IP qui se trouvent entre xxx.xxx.xxx.1 et xxx.xxx.xxx.254, utilisez la notation xxx.xxx.xxx.0/24.
     • Pour une adresse IP unique, utilisez une notation de type xxx.xxx.xxx.xxx/32.
     • Vous pouvez saisir jusqu’à 50 plages d’adresses IP. Les utilisateurs qui se connectent à partir de ces adresses IP contournent les authentifications multifacteurs.

4. Cliquez sur Enregistrer.

Méthodes de vérification

Vous pouvez choisir les méthodes de vérification mises à la disposition des utilisateurs dans le portail des paramètres de service. Quand vos utilisateurs inscrivent leurs comptes pour l’authentification multifacteur Microsoft Entra, ils choisissent leur méthode de vérification préférée parmi les options que vous avez activées. Vous trouverez de l’aide sur le processus d’inscription des utilisateurs dans Configurer mon compte pour l’authentification multifacteur.

Important

En mars 2023, nous avons annoncé la dépréciation de la gestion des méthodes d’authentification dans les stratégies héritées de l’authentification multifacteur et de la réinitialisation de mot de passe en libre-service (SSPR). À compter du 30 septembre 2025, les méthodes d’authentification ne pourront pas être managées dans ces stratégies MFA et SSPR héritées. Nous recommandons aux clients d’utiliser le contrôle de migration manuel pour migrer vers la stratégie des méthodes d’authentification avant la date de dépréciation. Pour obtenir de l’aide sur le contrôle de migration, consultez Comment migrer les paramètres de stratégie MFA et SSPR vers la stratégie Méthodes d’authentification pour Microsoft Entra ID.

Les méthodes de vérification disponibles sont les suivantes :

Méthode	Descriptif
Appel vers le téléphone	Passe un appel vocal automatisé. L’utilisateur décroche et appuie sur la touche # du téléphone pour s’authentifier. Ce numéro de téléphone n’est pas synchronisé avec Active Directory en local.
Message texte vers le téléphone	Envoie un message texte contenant un code de vérification. L’utilisateur est invité à entrer le code de vérification dans l’interface de connexion. On parle alors « SMS unidirectionnel ». Ce terme signifie que l’utilisateur doit renvoyer par SMS dans un code spécifique. Le SMS bidirectionnel est déconseillé et ne sera plus pris en charge après le 14 novembre 2018. Les administrateurs doivent activer une autre méthode pour les utilisateurs qui utilisaient précédemment des SMS bidirectionnels.
Notification via une application mobile	Envoie une notification Push sur le téléphone de l’utilisateur ou sur l’appareil inscrit. L’utilisateur consulte la notification et sélectionne Vérifier pour terminer la vérification. L’application Microsoft Authenticator est disponible pour Windows Phone, Android et iOS.
Code de vérification provenant d’une application mobile ou d’un jeton matériel	L’application Microsoft Authenticator génère un nouveau code de vérification OATH toutes les 30 secondes. L’utilisateur entre ce code de vérification dans l’interface de connexion. L’application Microsoft Authenticator est disponible pour Windows Phone, Android et iOS.

Pour plus d’informations, consultez Quelles sont les méthodes d’authentification et de vérification disponibles dans Microsoft Entra ID ?.

Activer et désactiver des méthodes de vérification

Pour activer ou désactiver les méthodes de vérification, effectuez les étapes suivantes :

1. Connectez-vous au Centre d'administration Microsoft Entra au moins en tant qu’Administrateur de stratégie d’authentification.
2. Naviguez vers Entra ID>Utilisateurs.
3. Sélectionnez MFA par utilisateur.
4. Sous Authentification multifacteur en haut de la page, sélectionnez Paramètres du service.
5. Sur la page Paramètres du service, sous Options de vérification, cochez ou décochez les cases appropriées.
6. Cliquez sur Enregistrer.

Mémoriser l’authentification multifacteur

La fonctionnalité Mémoriser l’authentification multifacteur permet aux utilisateurs de contourner les vérifications suivantes pendant un nombre spécifié de jours après une connexion réussie à un appareil via l’authentification multifacteur. Pour améliorer la convivialité et réduire le nombre de fois qu’un utilisateur doit effectuer une authentification multifacteur (MFA) sur un appareil donné, sélectionnez une durée de 90 jours ou moins.

Important

Si un appareil ou un compte est compromis, la mémorisation MFA des appareils de confiance est susceptible d’affecter la sécurité. En cas de violation d’un compte d’entreprise ou de perte/vol d’un appareil fiable, vous devez révoquer les sessions MFA.

L’action de révocation révoque le statut approuvé de tous les appareils et oblige l’utilisateur à procéder de nouveau à l’authentification multifacteur. Vous pouvez également demander aux utilisateurs de restaurer l’état MFA d’origine sur leurs propres appareils, comme cela est indiqué dans Gérer vos paramètres pour l’authentification multifacteur.

Fonctionnement de la fonctionnalité

La fonctionnalité Mémoriser l’authentification multifacteur définit un cookie persistant sur le navigateur lorsqu’un utilisateur sélectionne l’option Ne plus me demander pendant X jours lorsqu’il se connecte. L’utilisateur ne reçoit plus d’invite MFA sur ce navigateur tant que le cookie n’est pas arrivé à expiration. Si l’utilisateur ouvre un autre navigateur sur le même appareil ou s’il efface les cookies, il reçoit de nouveau l’invite de vérification.

L’option Ne plus me demander pendant X jours ne s’affiche pas dans les applications sans navigateur, qu’elles prennent en charge l’authentification moderne ou non. Ces applications utilisent des jetons d’actualisation qui fournissent de nouveaux jetons d’accès toutes les heures. Quand un jeton d’actualisation est validé, Microsoft Entra ID vérifie que la dernière authentification multifacteur est intervenue dans le nombre spécifié de jours.

La fonctionnalité réduit le nombre d’authentifications sur les applications web, qui interviennent normalement à chaque fois. La fonctionnalité peut augmenter le nombre d’authentifications pour les clients d’authentification modernes qui, normalement, reçoivent une invite tous les 180 jours, si une durée inférieure est configurée. Elle peut également augmenter le nombre d’authentifications quand elle est combinée avec des stratégies d’accès conditionnel.

Important

La fonctionnalité Mémoriser l’authentification multifacteur n’est pas compatible avec la fonctionnalité Maintenir la connexion d’AD FS, quand les utilisateurs procèdent à l’authentification multifacteur pour AD FS via le serveur MFA ou via une solution d’authentification multifacteur tierce.

Si votre utilisateur sélectionne Maintenir la connexion dans AD FS et marque son appareil comme approuvé pour MFA, il n’est pas vérifié automatiquement à l’issue du délai en jours spécifiés dans Mémoriser l’authentification multifacteur. Microsoft Entra ID demande une nouvelle authentification multifacteur, mais AD FS retourne un jeton avec la revendication MFA et la date associée d’origine, au lieu d’effectuer de nouveau l’authentification multifacteur. Cette réaction déclenche une boucle de vérification entre Microsoft Entra ID et AD FS.

La fonctionnalité Mémoriser l’authentification multifacteur n’est pas compatible avec les utilisateurs B2B. Elle n’est pas visible pour les utilisateurs B2B quand ils se connectent aux locataires invités.

La fonctionnalité Mémoriser l’authentification multifacteur n’est pas compatible avec le contrôle d’accès conditionnel de fréquence de connexion. Pour plus d’informations, consultez Configurer la gestion de session d’authentification avec l’accès conditionnel.

Activer Mémoriser l’authentification multifacteur

Pour activer et configurer l’option permettant aux utilisateurs de mémoriser l’état MFA et de contourner les invites, procédez comme suit :

1. Connectez-vous au Centre d'administration Microsoft Entra au moins en tant qu’Administrateur de stratégie d’authentification.
2. Naviguez vers Entra ID>Utilisateurs.
3. Sélectionnez MFA par utilisateur.
4. Sous Authentification multifacteur en haut de la page, sélectionnez Paramètres du service.
5. Dans la page Paramètres du service, sous Mémoriser l’authentification multifacteur, sélectionnez Autoriser les utilisateurs à mémoriser l’authentification multifacteur sur des appareils de confiance.
6. Définissez le nombre de jours pendant lesquels les appareils approuvés peuvent contourner les authentifications multifacteurs. Pour une expérience utilisateur optimale, étendez la durée à 90 jours ou plus.
7. Cliquez sur Enregistrer.

Marquer un appareil en tant qu’appareil de confiance

Après avoir activé la fonctionnalité Mémoriser l’authentification multifacteur, les utilisateurs peuvent marquer un appareil comme approuvé quand ils se connectent, en sélectionnant Ne plus me demander.

Étapes suivantes

Pour en savoir plus, consultez Quelles sont les méthodes d’authentification et de vérification disponibles dans Microsoft Entra ID ?